OCHRONA DANYCH OSOBOWYCH W DZIAŁALNOŚCI KOŚCIOŁA KATOLICKIEGO W POLSCE

OCHRONA DANYCH OSOBOWYCH W DZIAŁALNOŚCI KOŚCIOŁA KATOLICKIEGO W POLSCE INSTRUKCJA OPRACOWANA PRZEZ GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH ORAZ SEKRETARIAT KONFERENCJI EPISKOPATU POLSKI Warszawa 2009

2 Spis treści Instrukcja dotycząca ochrony danych osobowych w działalności Kościoła Katolickiego w Polsce...3 Lista pytań związanych z działalnością Kościoła Katolickiego w Polsce kierowanych do Generalnego Inspektora Ochrony Danych Osobowych...12

3 Instrukcja dotycząca ochrony danych osobowych w działalności Kościoła Katolickiego w Polsce Instrukcja została opracowana przez Generalnego Inspektora Ochrony Danych Osobowych oraz Sekretariat Konferencji Episkopatu Polski w związku z wątpliwościami dotyczącymi stosowania ustawy o ochronie danych osobowych w odniesieniu do danych osobowych przetwarzanych na potrzeby Kościoła Katolickiego w Polsce. I. Informacje ogólne 1. Podstawa prawna Prawo do ochrony danych osobowych jest prawem wynikającym z Konstytucji Rzeczypospolitej Polskiej (art. 47 i art. 51), a jego szczegółowe określenie znalazło się w Ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2004 r. Nr 101, poz. 926 ze zm.). 2. Dane osobowe W rozumieniu ustawy o ochronie danych osobowych, za dane osobowe uwaŝa się kaŝdą informację dotyczącą osoby fizycznej, pozwalającą na określenie toŝsamości tej osoby. Ustawa przewiduje dwie kategorie danych osobowych, są to: a) dane zwykłe (np. imię, nazwisko, adres zamieszkania, wykonywany zawód, numer telefonu, itp.), b) dane szczególnie chronione sensytywne, wymienione enumeratywnie w art. 27 ust. 1 ustawy: dane ujawniające pochodzenie rasowe lub etniczne,

poglądy polityczne, przekonania religijne lub filozoficzne, przynaleŝność wyznaniową, partyjną lub związkową, dane o stanie zdrowia, kodzie genetycznym, nałogach, Ŝyciu seksualnym, dane dotyczące skazań, orzeczenia o ukaraniu i dane dotyczące mandatów karnych, inne orzeczenia wydane w postępowaniu sądowym lub administracyjnym. 4 3. Zbiory danych Zbiorem danych, w rozumieniu ustawy o ochronie danych osobowych, jest kaŝdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezaleŝnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Zbiory danych mogą być tworzone w systemie tradycyjnym (papierowym), albo w systemie informatycznym (np.: w postaci kartotek parafialnych, programów kadrowo-płacowych). 4. Przetwarzanie danych Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Przetwarzaniem danych są jakiekolwiek czynności na danych osobowych, takie jak m.in.: zbieranie, utrwalanie, opracowywanie, zmienianie, udostępnianie, usuwanie,

5 przechowywanie (archiwizowanie), operacje wykonywane w systemach informatycznych (przesłanie e-maila, sms itp.). Przetwarzanie danych zwykłych odbywa się na podstawie art. 23 ust. 1 ustawy. Podstawą przetwarzania danych zwykłych moŝe być przepis prawa albo zgoda osoby, której dane dotyczą. Przetwarzanie danych szczególnie chronionych, co do zasady jest zabronione, za wyjątkiem sytuacji określonych w art. 27 ust. 2 ustawy, np. gdy jest to niezbędne do wykonania statutowych zadań Kościoła Katolickiego, pod warunkiem, Ŝe przetwarzanie danych dotyczy wyłącznie członków tych instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych (art. 27 ust. 2 pkt 4). Przetwarzanie danych szczególnie chronionych osób nienaleŝących do Kościoła jest dopuszczalne za pisemną zgodą tych osób (art. 27 ust. 2 pkt 1). 5. Obowiązek rejestracji zbiorów danych Zbiory danych osobowych przetwarzane przez Kościół Katolicki, o ile dotyczą członków Kościoła i są wykorzystywane wyłącznie na potrzeby Kościoła, np.: kartoteka parafialna nie podlegają obowiązkowi zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych). Tym samym w odniesieniu do tych zbiorów Generalnemu Inspektorowi Ochrony Danych Osobowych nie przysługują uprawnienia dotyczące moŝliwości kontroli zgodności przetwarzania danych z ustawą z dnia o ochronie danych osobowych. O ile jednak przetwarzane są dane osobowe innych osób, niŝ określone w art. 43 ust. 1 pkt 3 ustawy, zbiory powinny być zgłoszone do rejestracji. 6. Kościelne osoby prawne Kościelne osoby prawne, o których mowa w Ustawie z 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (np. diecezje, parafie, zgromadzenia zakonne, Caritas Polska, Caritas diecezji, kościelne instytuty naukowe,

6 czy Papieskie Wydziały Teologiczne), jak równieŝ działające w ich ramach kościelne wydawnictwa, zakłady wytwórcze, usługowe i handlowe, zakłady charytatywnoopiekuńcze, szkoły i inne placówki oświatowo-wychowawcze, nieposiadające osobowości prawnej są zobligowane do dołoŝenia szczególnej staranności w procesie przetwarzania danych osobowych pozyskiwanych w ramach swojej działalności. Do takich jednostek organizacyjnych Kościoła ustawa znajduje zastosowanie w pełni w przypadku przetwarzania danych osób nienaleŝących do Kościoła i nieutrzymujących z nim stałych kontaktów (tzn. muszą być wykonane przez administratora danych wszelkie obowiązki wynikające z przepisów o ochronie danych osobowych). II. Zabezpieczenie danych osobowych 1. Zasada ogólna Liczne ograniczenia moŝliwości ingerencji Generalnego Inspektora Ochrony Danych Osobowych w sferę danych zbieranych w ramach Kościoła Katolickiego nie oznacza zwolnienia ze staranności w zabezpieczaniu zbieranych danych przed dostępem do nich osób nieuprawnionych, swobody w rozpowszechnianiu, bądź przekazywaniu zebranych danych innym instytucjom lub osobom. Jakkolwiek bowiem Kościół ma prawo przetwarzać dane osobowe dla realizacji swojej działalności statutowej, to przetwarzanie tych danych powinno się odbywać z poszanowaniem godności jednostki. Ustawa zawiera przepisy karne przewidujące za zaniedbania w zakresie materii regulowanej ustawą karę grzywny, karę ograniczenia wolności oraz karę pozbawienia wolności w zaleŝności od wagi przestępstwa. 2. Obowiązki administratora danych wynikające z ustawy o ochronie danych osobowych Administratorem danych jest podmiot decydujący o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 ustawy o ochronie danych osobowych), a więc Kościół Katolicki, reprezentowany przez właściwe organy, np.: biskupów czy proboszczów oraz instytucje współpracujące z Kościołem (np.: fundacje, stowarzyszenia, wydawnictwa, itd.).

7 Administrator danych ma obowiązek zabezpieczyć je poprzez zastosowanie odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, tak aby: 1) nie były udostępniane osobom nieupowaŝnionym, 2) nie były zabrane przez osobę nieuprawnioną, 3) były zabezpieczone przed uszkodzeniem, zniszczeniem lub utratą. 3. Zabezpieczanie danych przetwarzanych w sposób tradycyjny i w systemach informatycznych Zastosowanie środków technicznych i organizacyjnych odnosi się zarówno do danych przetwarzanych w sposób tradycyjny (manualny, papierowy), jak i do przetwarzania danych w systemach informatycznych (w postaci elektronicznej, przy uŝyciu np.: komputera, laptopa). W związku z powyŝszym istotne jest: 1) zabezpieczenie obszaru (budynek, pomieszczenia lub części pomieszczeń), w którym przetwarzane są dane osobowe w formie papierowej lub w systemie informatycznym poprzez: a) zastosowanie odpowiednich zamków, drzwi, systemów alarmowych, itp; b) zapewnienie kluczy do pomieszczeń, szaf, biurek, itp. oraz kontroli ich uŝywania; c) zabezpieczenie przed dostępem osób trzecich na czas nieobecności w pomieszczeniach osób upowaŝnionych; 2) zabezpieczenie dokumentów zawierających dane osobowe poprzez: a) zapewnienie dostępu do dokumentów wyłącznie osobom upowaŝnionym, zobligowanym do zachowania w tajemnicy pozyskanych informacji; b) niszczenie dokumentów zbędnych w sposób uniemoŝliwiający odtworzenie danych znajdujących się w tych dokumentach; c) przechowywanie dokumentów w zamkniętych na klucz szafach po zakończeniu pracy;

8 3) zabezpieczenie systemów informatycznych słuŝących do przetwarzania danych osobowych poprzez: a) zapewnienie dostępu do komputerów wyłącznie osobom upowaŝnionym (np. ustawienie monitorów komputerowych w sposób uniemoŝliwiający osobom postronnym zapoznanie się z danymi, zachowanie w tajemnicy haseł dostępu do komputerów, zastosowanie wygaszacza ekranu w momencie niekorzystania z komputera); b) przechowywanie elektronicznych nośników informacji zawierających dane osobowe (dyskietki, płyty CD, taśmy magnetyczne) w sposób zabezpieczający przed nieuprawnionym przejęciem, odczytem, skopiowaniem lub zniszczeniem; c) w sytuacji, gdy dane osobowe przetwarzane są na komputerze przenośnym (laptopie), niezbędne jest zachowanie szczególnej ostroŝności podczas jego transportu, przechowywania i uŝytkowania w terenie oraz zastosowanie programu szyfrującego; d) systemy informatyczne, przy uŝyciu których przetwarzane są dane osobowe, zabezpiecza się przed utratą zasilania poprzez zastosowanie urządzeń UPS; e) systemy informatyczne, przy uŝyciu których przetwarzane są dane osobowe, zabezpiecza się przed utratą danych poprzez wykonywanie okresowych kopii bezpieczeństwa; f) systemy informatyczne, przy uŝyciu których przetwarzane są dane osobowe, zabezpiecza się przed zagroŝeniami pochodzącymi z sieci publicznej Internet za pomocą specjalistycznych mechanizmów teleinformatycznych, takich jak: zapora ogniowa (tzw. firewall "), system wykrywania włamań, oprogramowanie antywirusowe. ZagroŜenia powyŝsze moŝna wyeliminować poprzez korzystanie z komputera niemającego połączenia z Internetem. NaleŜy pamiętać, iŝ rodzaj zabezpieczeń powinien być dostosowany do rodzaju zagroŝeń i kategorii przetwarzanych danych. Zachowanie naleŝytej staranności w procesie zabezpieczenia danych moŝe przejawiać się przykładowo w wyeliminowaniu

9 przypadków umieszczania dokumentów w miejscach ogólnie dostępnych lub w otwartych szafach. 4. Informacje dotyczące bezpiecznego korzystania z Internetu Dla zachowania bezpieczeństwa, przy uŝytkowaniu np. Internetu naleŝy przestrzegać kilku podstawowych zasad, a w szczególności: 1) nie naleŝy otwierać załączników (plików) do korespondencji elektronicznej nadesłanej przez nieznanego nadawcę; 2) nie zgrywać na dysk twardy komputera ani nie uruchamiać Ŝadnych programów nielegalnych ani Ŝadnych plików pobranych z niewiadomego źródła; 3) nie wchodzić na strony, na których prezentowane są informacje o charakterze przestępczym, hakerskim, ani innym zakazanym przez prawo (na większości stron tego typu jest zainstalowane szkodliwe oprogramowanie, infekujące w sposób automatyczny system operacyjny komputera szkodliwym oprogramowaniem); 4) nie naleŝy w opcjach przeglądarki internetowej włączać opcji autouzupełniania formularzy i zapamiętywania haseł; 5) naleŝy na bieŝąco aktualizować system operacyjny komputera, system antywirusowy, jak równieŝ system firewall. NaleŜy pamiętać, Ŝe nikt nie jest w sieci anonimowy, a korzystanie z kaŝdej strony www jest utrwalane i moŝe być wykorzystywane przez róŝne podmioty dla celów często niezgodnych z prawem. 5. Opracowanie instrukcji na uŝytek własnego podmiotu Zaleca się, aby administrator danych (np. biskup, proboszcz, itp.) opracował w formie pisemnej instrukcję zawierającą prawa, reguły i praktyczne wyjaśnienia dotyczące sposobu zarządzania, ochrony i wymiany informacji (danych osobowych) w systemie tradycyjnym (papierowym) oraz informatycznym wewnątrz swojej jednostki. Pozwoli to na prawidłowe zarządzanie danymi. Uzasadnionym takŝe wydaje się wyznaczenie osoby, która będzie odpowiedzialna za właściwe stosowanie opracowanych przez administratora danych reguł.

10 Jest to szczególnie waŝne, gdy dostęp do danych osobowych poza administratorem mają inne osoby. 6. Obowiązki administratora danych wynikające z Kodeksu Prawa Kanonicznego NaleŜy zauwaŝyć, Ŝe kwestie zabezpieczenia danych regulują równieŝ przepisy Kodeksu Prawa Kanonicznego (kan. 486-491), które określają zasady dotyczące archiwizacji dokumentów. I tak kan. 486 stanowi, Ŝe: 1. Z największą troską naleŝy strzec wszystkich dokumentów dotyczących diecezji lub parafii. 2. W kaŝdej kurii, w miejscu bezpiecznym, naleŝy urządzić archiwum diecezjalne czyli depozyt dokumentów, w którym winny być przechowywane dokumenty i pisma dotyczące spraw diecezjalnych zarówno duchowych, jak i doczesnych odpowiednio uporządkowane i pilnie strzeŝone pod zamknięciem. 3. Powinien być sporządzony inwentarz, czyli katalog dokumentów znajdujących się w archiwum, z dołączeniem krótkiego opisu kaŝdej pozycji. Kan. 487. 1. Archiwum powinno być zamknięte, a klucz od niego winien mieć tylko biskup i kanclerz. Nikomu nie wolno wchodzić do archiwum bez zezwolenia biskupa lub moderatora kurii i kanclerza równocześnie. 2. Osoby zainteresowane mają prawo gdy o to proszą osobiście lub przez pełnomocnika otrzymać autentyczny odpis lub kopię dokumentu, z natury swej publicznego, który dotyczy ich osoby. Kan. 488. Z archiwum nie wolno zabierać dokumentów, chyba Ŝe tylko na krótki czas i za zgodą biskupa, albo moderatora kurii i kanclerza równocześnie.

11 Kan. 489. 1. W kurii diecezjalnej powinno takŝe być archiwum tajne albo przynajmniej w ogólnym archiwum winna się znajdować kasa pancerna, dobrze zamknięta i umocowana, której nie da się wynieść z miejsca. NaleŜy w nim przechowywać z największą pilnością dokumenty tajne. 2. KaŜdego roku naleŝy zniszczyć dokumenty spraw karnych w zakresie obyczajów, dotyczące osób zmarłych albo spraw zakończonych przed dziesięciu laty wyrokiem skazującym, zachowując krótkie streszczenie faktu wraz z tekstem wyroku. Kan. 490. 1. Klucz od tajnego archiwum powinien mieć tylko biskup. 2. Podczas wakansu stolicy nie wolno otwierać tajnego archiwum lub kasy pancernej. W razie prawdziwej konieczności, czyni to sam administrator diecezji. 3. Z tajnego archiwum lub kasy pancernej nie wolno wynosić dokumentów.

12 Lista pytań związanych z działalnością Kościoła Katolickiego w Polsce kierowanych do Generalnego Inspektora Ochrony Danych Osobowych 1) Czy do działalności Kościoła Katolickiego mają zastosowanie przepisy ustawy o ochronie danych osobowych? Ustawa o ochronie danych osobowych znajduje zastosowanie do przetwarzania danych na potrzeby Kościoła i instytucji działających w jego obrębie, przy czym w mniejszym zakresie znajduje zastosowanie do przetwarzania danych wyłącznie członków Kościoła (np. takie zbiory nie podlegają zgłoszeniu do rejestracji, ani kontroli Generalnego Inspektora Ochrony Danych Osobowych). PowyŜsze nie stoi w sprzeczności z odrębnymi regulacjami zawartymi w prawie kanonicznym i Konkordacie. 2) Czy istnieje obowiązek zgłoszenia do rejestracji zbiorów danych osobowych powstałych w związku z działalnością kościelnych osób prawnych? O ile przetwarzanie danych następuje na potrzeby Kościoła i dotyczy osób naleŝących do Kościoła, to na administratorze takiego zbioru danych nie spoczywa obowiązek zgłoszenia zbioru do rejestracji (nie zgłasza się np. zbiorów danych darczyńców pozostających członkami Kościoła, zbiorów danych księŝy, kanoników, biskupów, członków instytutów Ŝycia konsekrowanego i stowarzyszeń Ŝycia apostolskiego, zbiorów danych uczniów szkół katolickich, zbiorów danych członków Kościoła nieuczestniczących w Ŝyciu liturgicznym Kościoła, zbiorów danych osób ochrzczonych art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych). Natomiast w przeciwnym przypadku zbiory kościelnych osób prawnych podlegają zgłoszeniu na zasadach ogólnych (art. 40 ustawy o ochronie danych osobowych). Przykłady takich zbiorów to: zbiory danych osobowych mieszkańców Domów Opieki Społecznej prowadzonych przez Zgromadzenia Zakonne; zbiory danych osobowych darczyńców nienaleŝących do Kościoła;

13 zbiory danych osób, którym udzielane jest wsparcie lub pomoc (np. ewidencja bezdomnych korzystających z noclegowni prowadzonych przez Caritas). 3) Gdzie moŝna uzyskać informację o zbiorach zgłoszonych do rejestracji przez Kościół Katolicki? W celu realizacji postanowień art. 12 pkt 3 i 42 ust. 1 ustawy o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych oraz udziela informacji o zarejestrowanych zbiorach, między innymi za pośrednictwem strony internetowej www.giodo.gov.pl. 4) Jaka jest podstawowa przesłanka upowaŝniająca Kościół Katolicki do przetwarzania danych osobowych jego wiernych? Przetwarzanie danych zwykłych (np. imię, nazwisko, adres zamieszkania) jest dopuszczane na podstawie jednej z przesłanek określonych w art. 23 ust. 1 ustawy. Natomiast przetwarzanie danych osobowych szczególnie chronionych, w tym ujawniających przekonania religijne, odbywa się w oparciu o art. 27 ust. 2 pkt 4 ustawy o ochronie danych osobowych, gdy jest to niezbędne do wykonania statutowych zadań Kościoła, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach religijnych pod warunkiem, Ŝe przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych osobowych. W związku z zarządzaniem i administrowaniem sprawami Kościoła przetwarzanie danych osobowych osób naleŝących do danego Kościoła jest niezbędne do realizacji jego zadań, o czym stanowi równieŝ kan. 535 Kodeksu Prawa Kanonicznego.

14 5) Czy Kościół ma prawo zbierać i gromadzić dane osób niewierzących zamieszkujących daną parafię? Kościół ma prawo zbierać i gromadzić dane o przynaleŝności wyznaniowej osób nienaleŝących do Kościoła wyłącznie za ich pisemną zgodą i po poinformowaniu o celu takiego przetwarzania (art. 27 ust. 2 pkt 1 ustawy). Zbieranie danych zwykłych powinno równieŝ odbywać się w oparciu o zgodę tych osób (art. 23 ust. 1 pkt 1 ustawy), przy czym, choć ustawa tego nie wymaga, dla celów dowodowych uzasadnione byłoby pozyskiwanie zgody w formie pisemnej. Klauzula zgody powinna zawierać oznaczenie na jaki cel i komu jest wyraŝana. Obowiązek informacyjny zostanie natomiast prawidłowo wykonany, gdy administrator danych (np. kościelna osoba prawna) poinformuje osobę niewierzącą, której dane są pozyskiwane o celu zbierania danych, prawie dostępu do treści danych i ich poprawiania, dobrowolności albo obowiązku podania danych, ewentualnie podstawie prawnej takiego obowiązku. 6) Czy zamieszczanie w gablotach ogłoszeń parafialnych imiennej listy par zamierzających wstąpić w związek małŝeński (tzw. zapowiedzi) albo listy parafian, którzy zapłacili bądź nie zapłacili miesięcznej składki na rzecz Kościoła, jest naruszeniem zasad ochrony danych osobowych? Przepisy Kodeksu Prawa Kanonicznego nakładają na duszpasterzy obowiązek ustalenia ewentualnych przeszkód dla zawarcia małŝeństwa, wszyscy wierni mają obowiązek znane im przeszkody małŝeńskie wyjawić przed zawarciem małŝeństwa proboszczowi lub ordynariuszowi miejsca (kan. 1069 Kodeksu Prawa Kanonicznego). Realizacja powyŝszego obowiązku powinna jednak odbywać się z uwzględnieniem adekwatności przetwarzanych danych tak, aby zakres ujawnionych informacji pozostawał w zgodzie z zasadą proporcjonalności i poszanowaniem godności osoby, której dane dotyczą. Zakres informacji koniecznych do udostępnienia w powyŝszym celu nie powinien być zbyt szeroki tak, aby nie naruszyć prawnie zagwarantowanej kaŝdemu prywatności, chyba Ŝe osoby, których dane dotyczą, wyraŝą zgodę na udostępnienie informacji w szerszym zakresie.

15 Zasada pozyskiwania zgody odnosi się takŝe do upublicznienia danych osób zalegających z płatnością składek na rzecz Kościoła. W odmiennym przypadku uznać naleŝy za właściwe kierowanie indywidualnych wezwań do uregulowania zaległych wpłat. 7) Czy proboszcz moŝe przekazać informacje o osobach zamierzających wstąpić w związek małŝeński podmiotom trzecim świadczącym usługi (np. salonowi sukien ślubnych, fotografowi, kwiaciarni, itp.)? Proboszcz nie moŝe udostępniać danych pozyskanych w celu udzielenia sakramentu, w innych celach, osobom trzecim. Zgodnie z art. 36 administrator danych jest zobowiązany zabezpieczyć dane przed ich udostępnieniem osobom nieupowaŝnionym, zabraniem przez osobę nieuprawnioną czy przetwarzaniem z naruszeniem ustawy. 8) Jakie są podstawy prawne wyłączenia Generalnego Inspektora Ochrony Danych Osobowych ze sprawowania pełnego nadzoru nad przetwarzaniem danych osobowych w zbiorach prowadzonych przez Kościół? Generalnemu Inspektorowi Ochrony Danych Osobowych nie przysługują uprawnienia w postaci wydawania decyzji administracyjnych, przeprowadzania czynności kontrolnych, wglądu do dokumentów oraz wstępu do pomieszczeń, w których przetwarzane są przez Kościół dane osobowe w odniesieniu do zbiorów dotyczących osób naleŝących do Kościoła i przetwarzanych na jego potrzeby, natomiast Generalny Inspektor Ochrony Danych Osobowych moŝe występować w takich sprawach o wyjaśnienia, sygnalizować nieprawidłowości, ewentualnie zawiadamiać o popełnieniu przestępstwa (art. 43 ust. 2 ustawy). 9) Czy osobie, która zamierza wystąpić z Kościoła przysługuje prawo Ŝądania usunięcia danych osobowych z ksiąg kościelnych? Nie przysługuje, gdyŝ zasady archiwizowania informacji zawartych w księgach kościelnych wynikają z innych niŝ ustawa o ochronie danych osobowych regulacji, a mianowicie z przepisów Kodeksu Prawa Kanonicznego (kan. 535 Kodeksu Prawa

16 Kanonicznego), który wskazuje na konieczność stałego przechowywania informacji związanych z działalnością Kościoła i ich odpowiedniego zabezpieczenia. Fakt wystąpienia z Kościoła jest odnotowywany w księdze chrztów. W zakresie nieuregulowanym przepisami wyŝej wskazanego kodeksu zastosowanie znajdą zasady wynikające z ustawy o ochronie danych osobowych np. prawo do aktualizacji danych i ich poprawiania (art. 35 ust. 1). 10) Jakie dane osobowe znajdują się w kartotekach parafialnych i innych dokumentach gromadzonych przez Kościół? W kartotekach parafialnych powinny znajdować się informacje, które są niezbędne dla realizacji działalności statutowej Kościoła. Obejmują one zarówno dane zwykłe jak i szczególnie chronione. Pozyskiwanie i gromadzenie tych danych odbywa się przede wszystkim na podstawie Kodeksu Prawa Kanonicznego, jako przepisów szczególnych, a w zakresie nieuregulowanym powyŝszym aktem, w trybie przepisów ustawy o ochronie danych osobowych (art. 23 ust. 1-5 w przypadku danych zwykłych oraz art. 27 ust. 2 pkt 1-10 w przypadku danych szczególnie chronionych). 11) Kto sprawuje pieczę nad danymi osobowymi zgromadzonymi w księgach parafialnych? Kodeks Prawa Kanonicznego określa podmioty zobowiązane do prowadzenia ksiąg parafialnych i to one są zobowiązane do zabezpieczenia danych osobowych w nich zawartych. Zgodnie z kan. 535 proboszcz ma czuwać nad tym, by księgi parafialne były właściwie spisywane i przechowywane. 12) Czy Kościół moŝe wykorzystywać dane osobowe swoich członków bez uprzednio wyraŝonej przez nich zgody? Zgoda nie jest jedyną przesłanką uprawniającą do przetwarzania danych osobowych. Nie jest konieczna, jeśli zachodzi inna przesłanka ustawowa np. gdy jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, pod warunkiem, Ŝe przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe

17 kontakty w związku z ich działalnością i zapewnione są gwarancje ochrony przetwarzanych danych. 13) Czy moŝna mieć wgląd do informacji o zmarłych parafianach zawartych w dokumentacji parafialnej? Ustawa o ochronie danych osobowych ma zastosowanie wyłącznie do osób Ŝyjących, co oznacza, Ŝe kwestia legalności udostępniania informacji o osobach zmarłych nie moŝe być oceniana na gruncie jej przepisów. NaleŜy jednak pamiętać, Ŝe brak zastosowania przepisów ustawy o ochronie danych osobowych nie zwalnia podmiotów przetwarzających dane takich osób z obowiązku poszanowania godności osoby zmarłej i jej rodziny. 14) Czy parafianin ma prawo Ŝądać uzupełnienia danych niekompletnych lub sprostowania danych nieaktualnych zawartych w dokumentacji parafialnej? W przypadku gdy w dokumentach przechowywane są informacje dotyczące np. nieaktualnego adresu zamieszkania, nazwiska lub numeru telefonu to administrator danych, np. proboszcz, ma obowiązek ich sprostowania (art. 35 ust. 1 ustawy o ochronie danych osobowych), jak równieŝ obowiązek uzupełnienia danych niekompletnych. 15) Czy zatrudniony przez dyrektora szkoły katecheta ma prawo udostępniać proboszczowi informacje o uczęszczaniu ucznia na lekcje religii oraz o wynikach nauki? Przepisy Kodeksu Prawa Kanonicznego nakładają na proboszcza obowiązek nadzoru w zakresie katechezy [kan. 773-780 KPK oraz art. 12 Konkordatu między Stolicą Apostolską i Rzecząpospolitą Polską z 1993 roku (Dz. U. 1998 Nr 51, poz. 318)] osób przynaleŝących do Kościoła. Z kolei katecheta prowadzący zajęcia z religii jest desygnowany, po uprzednim sprawdzeniu jego kwalifikacji, przez właściwego biskupa diecezjalnego. A zatem, w zakresie osób przynaleŝących do Kościoła Kościół ma prawo sprawować pieczę nad nauczaniem religii oraz między innymi wizytować lekcje religii (rozporządzenie Ministra Edukacji Narodowej z dnia

18 14 kwietnia 1992 r. w sprawie warunków i sposobu organizowania nauki religii w publicznych przedszkolach i szkołach). W przypadku osób, które taką przynaleŝnością się nie wykazują, udostępnianie ich danych osobowych przez katechetę powinno się odbywać wyłącznie za ich zgodą lub zgodą ich opiekunów prawnych. 16) Czy szkoły, przedszkola, szpitale, domy pomocy społecznej, świetlice i inne podmioty prowadzone przez kościelne osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej mogą udostępniać dane osobowe, komu i na jakich zasadach? Zakres praw i obowiązków instytucji kościelnych prowadzących działalność w wyŝej wskazanej formie regulują przepisy odrębnych ustaw (np. ustawa o systemie oświaty, ustawa o pomocy społecznej, ustawa o fundacjach, ustawa o stowarzyszeniach). Ustawa o ochronie danych osobowych znajduje zastosowanie w zakresie przez nie nieuregulowanym. Istotne jest aby dane były udostępniane w ściśle określonym celu i zakresie oraz wyłączenie takim podmiotom, które wykaŝą wyraźną podstawę ustawową (np. sądom, prokuraturze, policji, innym organom prowadzącym postępowania na podstawie odrębnych procedur). Michał Serzycki Generalny Inspektor Ochrony Danych Osobowych + Stanisław Budzik Sekretarz Generalny Konferencji Episkopatu Polski Warszawa, 23 września 2009 r.